プラットフォーム
wordpress
コンポーネント
wp-statistics
修正版
14.16.5
14.16.5
WP Statisticsプラグインにおいて、utm_sourceパラメータの入力値が適切にサニタイズされていないため、Stored Cross-Site Scripting (XSS) 脆弱性が存在します。この脆弱性を悪用されると、認証されていない攻撃者が管理者ページに悪意のあるスクリプトを注入し、管理者権限を持つユーザーがページを閲覧するたびに実行される可能性があります。影響を受けるバージョンは0.0.0から14.16.4までですが、14.16.5でこの問題は修正されています。
WP Statistics WordPressプラグインのCVE-2026-5231は、保存型のクロスサイトスクリプティング（XSS）脆弱性を引き起こします。これは、攻撃者が他の訪問者のブラウザで実行される悪意のあるコード（JavaScript）をウェブサイトに注入できることを意味します。この脆弱性は、プラグインがリファラURLの「utmsource」パラメータを処理する方法にあります。攻撃者がワイルドカードチャンネルドメインに一致する「utmsource」の悪意のある値を指定した場合、この値は適切なサニタイズなしで「source_name」フィールドにコピーされます。その後、この値はinnerHTMLを使用してチャートの凡例マークアップに挿入されますが、エスケープ処理が行われていないため、悪意のあるスクリプトが実行される可能性があります。攻撃者はこれを利用して、Cookieを盗んだり、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、ウェブサイトのコンテンツを変更したりする可能性があります。
この脆弱性は、リファラURLの「utmsource」パラメータの操作を通じて悪用されます。攻撃者は、「utmsource」の値内にJavaScriptコードを含む悪意のあるURLを作成できます。ユーザーがこのURLにアクセスし、WP Statisticsプラグインがそれを処理すると、JavaScriptコードが保存され、チャートがウェブサイトに表示されるときに後で実行されます。搾取の成功は、プラグインの構成と、悪意のある「utm_source」値に一致するワイルドカードチャンネルドメインの存在に依存します。認証がないため、登録されていないユーザーでもこの脆弱性を悪用できる可能性があります。
エクスプロイト状況
EPSS
0.03% (9% パーセンタイル)
CISA SSVC
解決策は、WP Statisticsプラグインをバージョン14.16.5以降に更新することです。このバージョンには、HTMLに挿入する前に「utm_source」入力が適切にサニタイズされ、出力がエスケープされる修正が含まれています。搾取のリスクを軽減するために、できるだけ早くこの更新を実行することをお勧めします。さらに、ウェブサイトのログを調べて不審な活動がないか確認してください。侵入が疑われる場合は、すべてのユーザーパスワードを変更したり、ウェブサイトをマルウェアスキャンしたりするなど、追加の対策を講じてください。ウェブサイトのセキュリティを確保するために、すべてのプラグインとWordPressコアを最新の状態に保つことが重要です。
バージョン14.16.5、またはそれ以降のパッチバージョンにアップデートしてください
脆弱性分析と重要アラートをメールでお届けします。
XSS（クロスサイトスクリプティング）は、攻撃者が他のユーザーが訪問するウェブサイトに悪意のあるスクリプトを注入できるセキュリティ脆弱性の種類です。
攻撃者は機密情報を盗んだり、ユーザーを悪意のあるウェブサイトにリダイレクトしたり、ウェブサイトのコンテンツを変更する可能性があります。
すべてのユーザーパスワードを変更し、ウェブサイトをマルウェアスキャンし、クリーンなバックアップから復元することを検討してください。
バージョン14.16.5以降に更新した場合、WP Statisticsは安全に使用できます。
WP Statisticsの最新バージョンは、公式のWordPressリポジトリからダウンロードできます：[https://wordpress.org/plugins/wp-statistics/](https://wordpress.org/plugins/wp-statistics/)
CVSS ベクトル
依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。